There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - fast-uri before 4.1.2, 3.1.5, and 2.4.4 requires a literal double forward slash to recognize a URI
    authority, so a reference that uses a backslash based introducer in place of it (backslash backslash,
    forward slash backslash, or backslash forward slash) is parsed with no authority and folds into the path.
    Node's native WHATWG URL parser instead treats a backslash as interchangeable with a forward slash for
    special schemes, so the two parsers extract different hosts from the same input. Applications that use
    fast-uri to enforce host based policy such as allowlists, SSRF filtering, or redirect validation before
    passing the same URL into Node's URL or fetch consumers can be steered to an unintended host. Upgrade to
    fast-uri 4.1.2, 3.1.5, or 2.4.4. (CVE-2026-18446)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - fast-uri 4.1.2之前的 ， 3.1.5，並且 2.4.4 需要文字雙正斜線來識別 URI 權限，因此使用反斜杠型介紹子來代替它的參照 （反斜杠反斜杠、正斜線反斜杠或反斜杠正斜線） 會在沒有權限的情況下剖析並折疊到路徑中。
    Node 的原生 WHATWG URL 剖析器會將反斜線視為可與特殊方案的正斜線互換，因此兩個剖析器會從相同的輸入中擷取不同的主機。在將相同的 URL 傳遞至 Node 的 URL 或擷取消費者之前，使用快速 uri 來強制執行基於主機的策略 （例如允許清單、SSRF 篩選或重新導向驗證） 的應用程式可能會被引導至非預期的主機。升級至 fast-uri 4.1.2、 3.1.5或 2.4.4。（CVE-2026-18446）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-uri 之前 4.1.2的 、 3.1.5和 2.4.4 需要文字双正斜线来识别 URI 颁发机构，因此会在没有授权的情况下解析使用基于反斜线的介绍符（反斜杠反斜线、正斜杠反斜杠或反斜线正斜线）的引用。
    Node 的本机 WHATWG URL 解析器转而将反斜线视为可与特殊方案的正斜线互换，因此两个解析器从同一输入中提取不同的主机。在将相同 URL 传递到 Node 的 URL 或获取消费者之前，使用快速 URI 执行基于主机的策略（例如允许列表、SSRF 筛选或重定向验证）的应用程序可能会被引导至非预期主机。升级到 fast-uri 4.1.2、 3.1.5或 2.4.4。（CVE-2026-18446）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.1.2、 3.1.5、 2.4.4 の前の fast-uri では、URI 権限を認識するためにリテラルの二重フォワードスラッシュが必要なため、その代わりにバックスラッシュベースのイントロデューチャーを使用する参照(バックスラッシュ、バックスラッシュ、バックスラッシュ、バックスラッシュ、フォワードスラッシュ)は権限なしで解析され、パスに折りたたまれます。
    Node のネイティブな WHATWG URL パーサーは、代わりにバックスラッシュを特別なスキーム用のフォワードスラッシュと交換可能なものとして扱います。このため、2 つのパーサーは同じ入力から異なるホストを抽出します。同じURLをノードのURLに渡したり、コンシューマーをフェッチしたりする前に、許可リスト、SSRFフィルタリング、リダイレクト検証などのホストベースのポリシーを実行するためにfast-uriを使用するアプリケーションは、意図しないホストに誘導される可能性があります。fast-uri 4.1.2、 3.1.5、または 2.4.4 にアップグレードしてください。(CVE-2026-18446)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - fast-uri before 4.1.2, 3.1.5, and 2.4.4 requires a literal double forward slash to recognize a URI     authority, so a reference that uses a backslash based introducer in place of it (backslash backslash,     forward slash backslash, or backslash forward slash) is parsed with no authority and folds into the path.
    Node's native WHATWG URL parser instead treats a backslash as interchangeable with a forward slash for     special schemes, so the two parsers extract different hosts from the same input. Applications that use     fast-uri to enforce host based policy such as allowlists, SSRF filtering, or redirect validation before     passing the same URL into Node's URL or fetch consumers can be steered to an unintended host. Upgrade to     fast-uri 4.1.2, 3.1.5, or 2.4.4. (CVE-2026-18446)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445608	SCA: security update for fast-uri (GHSA-7p8r-x3mc-p8w7)	Tenable Cloud Security	SCA Checks	2026/8/4	2026/8/4	high
445608	SCA: security update for fast-uri (GHSA-7p8r-x3mc-p8w7)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/4	2026/8/4	high
331478	Linux Distros 未修補弱點：CVE-2026-18446	Nessus	Misc.	2026/7/31	2026/8/7	high
331478	Linux Distros 未修补的漏洞：CVE-2026-18446	Nessus	Misc.	2026/7/31	2026/8/7	high
331478	Linux Distros のパッチ未適用の脆弱性: CVE-2026-18446	Nessus	Misc.	2026/7/31	2026/8/7	high
331478	Linux Distros Unpatched Vulnerability : CVE-2026-18446	Nessus	Misc.	2026/7/31	2026/8/7	high

检测

插件搜索

high

high

high

high

high

high